CVE-2024-11641
Açıklama
WordPress için geliştirilen VikBooking Hotel Booking Engine & PMS eklentisi, 1.7.2 sürümü dahil tüm önceki sürümlerde Siteler Arası İstek Sahteciliği (CSRF) zafiyetine sahiptir. Bu durum, 'save' fonksiyonundaki eksik veya hatalı nonce doğrulamasından kaynaklanmaktadır. Bu durum, kimliği doğrulanmamış saldırganların, bir site yöneticisini bir bağlantıya tıklamak gibi bir işlemi gerçekleştirmeye ikna edebilmeleri durumunda, sahte bir istek aracılığıyla eklenti erişim yetkilerini değiştirmelerini mümkün kılar. Başarılı bir istismar, abone düzeyinde ve üzeri yetkilere sahip saldırganların etkilenen sitenin sunucusuna rastgele dosyalar yüklemesine izin verir ve bu da uzaktan kod çalıştırmayı mümkün kılabilir.
Nasıl düzeltilir
- vikwp vikbooking_hotel_booking_engine_\&_pms1.7.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vikwp vikbooking_hotel_booking_engine_\&_pms | v < 1.7.3 | 1.7.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.